2026年10月30日、英国のデジタル規制協力フォーラム（DRCF）は共同声明を発表した。構成機関は競争・市場庁（CMA）、金融行為規制機構（FCA）、情報コミッショナー事務局（ICO）、通信規制庁（Ofcom）である。声明の対象は、利用者に代わって注文し、企業と連絡し、メールや経費を処理する個人AIエージェントだ。既存の法律はこうしたエージェントにも同じように適用され、エージェントがどれほど自律的でも、導入した企業は「AIが勝手にやった」と言って責任を逃れることはできない。声明は新しい法律を作るものではないが、執行の考え方を一度に明確にした。英国でこうしたエージェントを提供・導入する企業は、その適用範囲に入る。
声明が対象とするもの：既存の法律が直接適用される
声明が挙げる適用範囲は広い。競争、消費者保護、データ保護、オンライン安全、金融サービス、決済、サイバーセキュリティに関する既存の要求であり、製品安全などフォーラム構成機関の所管外の法律が適用される可能性もある。挙げられたリスクも具体的だ。詐欺や詐欺まがいの行為、利用者の想定を超えた個人情報の共有、誤解を招く推薦・判断・情報である。4機関は、市場を注視し、企業と直接対話し、企業向け指針を出し、情報を共有し、規制サンドボックスでの検証を支え、英国政府とともにコンプライアンス上の空白を探すとしている。4つの執行の目が、同じ製品に同時に向けられる可能性がある。
導入前に答えておくべき五つの問い
声明は、開発・導入の前に五つのことをよく考えるよう企業に求めている。利用者が、エージェントがいつ、どのように自分の代わりに行動するかを理解できるか。行動の権限をどう与え、取り消せるか。個人データをどう使うか。推薦に影響しうる商業上の利害をどう利用者に説明するか。問題が起きたとき誰が責任を負い、利用者はどう救済を求めるか。この五つに照らせば、企業は四つの点から着手できる。権限に段階を設け、支払いや署名などリスクの高い行為はまず人の確認を入れること。権限の範囲、データの用途、商業関係を利用者の目に見える場所に書くこと。事後の確認と修正ができるよう、追跡可能な操作記録を残すこと。公開前に規制当局と早めに対話し、サンドボックスで疑問を検証すること。個人エージェントが企業に入る前に認可の関門を通すという考え方は、権限の境界を整理する参考になる。
リスクはどこにあるか：新法ではないが、拘束力はすでに働いている
最大のリスクは、声明を「後で対応すればよい」と読み違えることだ。声明は、法律違反の疑いがあり、消費者や企業に害を及ぼすおそれのある行為を確認した場合、規制当局は「権限の行使をためらわない」と明記している。一つのエージェントが、データ保護、消費者保護、競争、金融の規則に同時に触れ、並行した調査を受ける可能性がある。境界も見極める必要がある。声明が確認したのは英国の既存法の適用だけであり、世界共通のルールではない。他の地域の規則は別に判断しなければならない。声明は新たな罰則や技術チェックリストを示しておらず、今後の空白は4機関と政府のフォローアップ次第だ。フォーラムは2026年3月31日に、議論を促す趣旨のエージェンティックAIに関する展望文書を出している。10月30日の文書は共同声明であり、信号はより直接的だ。新しい法律を待つのではなく、既存の法律に照らして今すぐ自己点検することである。
